infection winspyware protect [RESOLU]

Freeboy · le 23 juillet 2008

bonsoir,

l'ordinateur de mon frère qui tourne sous vista semble infecté par "winspayware protect". Il y des messages qui apparaissent tout le temps qui signalent que des spywares ont été détecté et qu'il faut installer "winspayware protect". J'ai désinstallé mcafee qui n'était plus à jour et dont la version d'évaluation avait expirée et j'ai installé antivir en version gratuite. J'ai suivi la procédure pré-nettoyage d'un PC infecté et antivir m'a détecté 2 chevaux de troie qu'il n'a pas pu nettoyer : TR/Vundo.gen et TR/CryptXPACK.gen. J'ai généré un rapport Hijackthis que j'ai analysé à l'aide ZHP 2.24 et j'ai réparé une ligne qui indiquait une infection combo. Je ne sais plus quoi faire parce que les messages sont toujours là. J'ai besoin d'aide. Je joins à ce post le dernier rapport hijackthis et le rapport généré par conbofix. Merci de bien vouloir me donner un coup de main.

rapport hijackthis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:20:38, on 23/07/2008

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Program Files\Java\jre1.6.0_04\bin\jusched.exe

C:\Windows\System32\igfxtray.exe

C:\Windows\System32\hkcmd.exe

C:\Windows\system32\igfxsrvc.exe

C:\Windows\System32\igfxpers.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\TOSHIBA\Toshiba Online Product Information\TOPI.exe

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

C:\Program Files\IDM\Desktop SMS\DesktopSMS.exe

C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe

C:\Program Files\TOSHIBA\Power Saver\TPwrMain.exe

C:\Program Files\TOSHIBA\SmoothView\SmoothView.exe

C:\Program Files\TOSHIBA\FlashCards\TCrdMain.exe

C:\Program Files\TOSHIBA\Registration\ToshibaRegistration.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\OpenOffice.org 2.4\program\soffice.exe

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Camera Assistant Software for Toshiba\CEC_MAIN.exe

C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN

C:\Program Files\Windows Mail\WinMail.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe

C:\Program Files\Synaptics\SynTP\SynTPHelper.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgpc01.exe

C:\Program Files\Skype\Plugin Manager\skypePM.exe

C:\Windows\system32\conime.exe

C:\Windows\Explorer.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Windows\System32\mobsync.exe

C:\Users\dominique\Desktop\outils réparation\HijackThis.exe

C:\Windows\system32\DllHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O1 - Hosts: ::1 localhost

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_04\bin\jusched.exe"

O4 - HKLM\..\Run: [igfxTray] C:\Windows\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [topi] C:\Program Files\TOSHIBA\Toshiba Online Product Information\topi.exe -startup

O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKLM\..\Run: [Desktop SMS] C:\Program Files\IDM\Desktop SMS\DesktopSMS.exe /auto

O4 - HKLM\..\Run: [Camera Assistant Software] "C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe" /start

O4 - HKLM\..\Run: [TPwrMain] %ProgramFiles%\TOSHIBA\Power Saver\TPwrMain.EXE

O4 - HKLM\..\Run: [smoothView] %ProgramFiles%\Toshiba\SmoothView\SmoothView.exe

O4 - HKLM\..\Run: [00TCrdMain] %ProgramFiles%\TOSHIBA\FlashCards\TCrdMain.exe

O4 - HKLM\..\Run: [Toshiba Registration] C:\Program Files\Toshiba\Registration\ToshibaRegistration.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [hpqSRMon] C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [AdobeUpdater] C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKCU\..\Run: [s9201] "C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe" /autorun

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')

O4 - .DEFAULT User Startup: TRDCReminder.lnk = C:\Program Files\TOSHIBA\TRDCReminder\TRDCReminder.exe (User 'Default user')

O4 - Startup: OpenOffice.org 2.4.lnk = C:\Program Files\OpenOffice.org 2.4\program\quickstart.exe

O4 - Startup: TRDCReminder.lnk = C:\Program Files\TOSHIBA\TRDCReminder\TRDCReminder.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll

O9 - Extra button: eBay - Achetez, Vendez - {76577871-04EC-495E-A12B-91F7C3600AFA} - http://rover.ebay.com/rover/1/709-44555-9400-3/4 (file missing)

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Sélection intelligente HP - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll

O13 - Gopher Prefix:

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL

O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ConfigFree Service - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: GoogleDesktopManager - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: TOSHIBA Navi Support Service (TNaviSrv) - TOSHIBA Corporation - C:\Program Files\TOSHIBA\TOSHIBA DVD PLAYER\TNaviSrv.exe

O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\Windows\system32\TODDSrv.exe

O23 - Service: TOSHIBA Power Saver (TosCoSrv) - TOSHIBA Corporation - c:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe

O23 - Service: TOSHIBA SMART Log Service - TOSHIBA Corporation - c:\Program Files\TOSHIBA\SMARTLogService\TosIPCSrv.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe

O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--

End of file - 9350 bytes

rapport conbofix

ComboFix 08-07-22.4 - dominique 2008-07-23 23:08:26.1 - NTFSx86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6001.1.1252.1.1036.18.986 [GMT 2:00]

Endroit: C:\Users\dominique\Desktop\ComboFix.exe

* Création d'un nouveau point de restauration

.

((((((((((((((((((((((((((((( Fichiers créés 2008-06-23 to 2008-07-23 ))))))))))))))))))))))))))))))))))))

.

2008-07-23 22:59 . 2008-07-23 23:07 <REP> d-------- C:\327882R2FWJFW

2008-07-23 22:28 . 2008-07-23 22:28 <REP> d-------- C:\Program Files\CCleaner

2008-07-23 22:13 . 2008-07-23 22:13 <REP> d-------- C:\Program Files\ZebHelpProcess 2

2008-07-23 21:50 . 1999-01-20 05:01 210,032 --a------ C:\Windows\System32\DBCLIENT.DLL

2008-07-23 21:50 . 1999-11-12 05:11 183,808 --a------ C:\Windows\System32\BDEADMIN.CPL

2008-07-23 21:50 . 2008-07-23 22:35 13,030 --a------ C:\PDOXUSRS.NET

2008-07-23 21:17 . 2008-07-23 21:17 <REP> d-------- C:\VundoFix Backups

2008-07-23 19:45 . 2008-07-23 19:45 <REP> d-------- C:\Program Files\Common Files\Borland Shared

2008-07-23 16:34 . 2008-07-23 16:34 <REP> d-------- C:\Program Files\Sunbelt Software

2008-07-23 16:12 . 2008-07-23 22:26 <REP> d-------- C:\Users\All Users\Spybot - Search & Destroy

2008-07-23 16:12 . 2008-07-23 22:27 <REP> d-------- C:\Program Files\Spybot - Search & Destroy

2008-07-23 16:12 . 2008-07-23 22:26 <REP> d-------- C:\PROGRA~2\Spybot - Search & Destroy

2008-07-23 15:36 . 2008-07-23 15:36 <REP> d-------- C:\Users\All Users\Avira

2008-07-23 15:36 . 2008-07-23 15:36 <REP> d-------- C:\Program Files\Avira

2008-07-23 15:36 . 2008-07-23 15:36 <REP> d-------- C:\PROGRA~2\Avira

2008-07-23 10:17 . 2008-07-23 10:17 <REP> d-------- C:\Program Files\RealVNC

2008-07-23 08:09 . 2008-07-23 08:09 <REP> d-------- C:\Users\All Users\SecuriSoft SARL

2008-07-23 08:09 . 2008-07-23 08:09 <REP> d-------- C:\PROGRA~2\SecuriSoft SARL

2008-07-18 11:37 . 2008-06-26 03:45 12,240,896 --a------ C:\Windows\System32\NlsLexicons0007.dll

2008-07-18 11:37 . 2008-06-26 03:45 2,644,480 --a------ C:\Windows\System32\NlsLexicons0009.dll

2008-07-18 11:36 . 2008-06-26 05:29 801,280 --a------ C:\Windows\System32\NaturalLanguage6.dll

2008-07-01 01:19 . 2008-07-01 01:19 <REP> d-------- C:\Program Files\Microsoft SQL Server Compact Edition

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-07-24 03:51 --------- d-----w C:\PROGRA~2\HP Product Assistant

2008-07-23 21:10 --------- d-----w C:\Users\dominique\AppData\Roaming\Skype

2008-07-23 21:06 --------- d-----w C:\Users\dominique\AppData\Roaming\OpenOffice.org2

2008-07-23 16:57 --------- d-----w C:\Users\dominique\AppData\Roaming\skypePM

2008-07-23 15:49 --------- d-----w C:\Program Files\McAfee

2008-07-23 15:49 --------- d-----w C:\PROGRA~2\McAfee

2008-07-23 07:29 --------- d-----w C:\Program Files\Java

2008-07-09 11:08 --------- d-----w C:\Program Files\Windows Mail

2008-07-07 23:46 --------- d-----w C:\Program Files\Windows Live

2008-07-07 23:38 --------- dcsh--w C:\Program Files\Common Files\WindowsLiveInstaller

2008-07-07 23:38 --------- d-----w C:\Program Files\Common Files\Skype

2008-06-30 23:18 --------- d-----w C:\PROGRA~2\WLInstaller

2008-06-21 23:27 --------- d-----w C:\PROGRA~2\HPSSUPPLY

2008-06-21 23:22 --------- d-----w C:\Users\dominique\AppData\Roaming\myphotobook

2008-06-21 20:17 --------- d-----w C:\Users\dominique\AppData\Roaming\HP

2008-06-21 20:13 --------- d-----w C:\PROGRA~2\WEBREG

2008-06-21 20:10 --------- d-----w C:\PROGRA~2\HP

2008-06-21 20:04 --------- d-----w C:\Program Files\HP

2008-06-21 20:03 --------- d-----w C:\Program Files\Hewlett-Packard

2008-06-21 20:03 --------- d-----w C:\Program Files\Common Files\HP

2008-06-21 20:03 --------- d-----w C:\Program Files\Common Files\Hewlett-Packard

2008-06-21 19:58 --------- d-----w C:\PROGRA~2\Hewlett-Packard

2008-06-12 16:40 --------- d-----w C:\Users\dominique\AppData\Roaming\Template

2008-06-12 16:35 --------- d-----w C:\Program Files\Microsoft Works

2008-06-12 16:35 --------- d-----w C:\PROGRA~2\Microsoft Help

2008-06-12 16:28 --------- d-----w C:\Program Files\OpenOffice.org 2.4

2008-06-12 16:25 0 ---ha-w C:\Windows\system32\drivers\Msft_User_WpdFs_01_00_00.Wdf

2008-06-12 15:46 --------- d-----w C:\Program Files\Common Files\Adobe

2008-05-25 13:35 56 ---ha-w C:\Users\All Users\ezsidmv.dat

2008-05-25 13:35 56 ---ha-w C:\PROGRA~2\ezsidmv.dat

2008-05-25 13:30 --------- d-----w C:\Program Files\Skype

2008-05-25 13:30 --------- d-----w C:\PROGRA~2\Skype

2008-05-10 03:35 564,736 ----a-w C:\Windows\System32\emdmgmt.dll

2008-05-08 21:59 90,112 ----a-w C:\Windows\System32\wshext.dll

2008-05-08 21:59 430,080 ----a-w C:\Windows\System32\vbscript.dll

2008-05-08 21:59 180,224 ----a-w C:\Windows\System32\scrobj.dll

2008-05-08 21:59 172,032 ----a-w C:\Windows\System32\scrrun.dll

2008-05-08 21:59 155,648 ----a-w C:\Windows\System32\wscript.exe

2008-05-08 21:58 135,168 ----a-w C:\Windows\System32\cscript.exe

2008-05-06 17:54 0 ----a-w C:\Users\dominique\AppData\Roaming\wklnhst.dat

2008-04-26 08:25 3,600,952 ----a-w C:\Windows\System32\ntkrnlpa.exe

2008-04-26 08:25 3,549,240 ----a-w C:\Windows\System32\ntoskrnl.exe

2008-04-26 08:08 1,314,816 ----a-w C:\Windows\System32\quartz.dll

2008-04-25 04:35 826,880 ----a-w C:\Windows\System32\wininet.dll

2008-04-23 04:42 428,544 ----a-w C:\Windows\System32\EncDec.dll

2008-04-23 04:42 293,376 ----a-w C:\Windows\System32\psisdecd.dll

2008-01-21 02:43 174 --sha-w C:\Program Files\desktop.ini

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="C:\Program Files\Windows Sidebar\sidebar.exe" [2008-01-21 04:23 1233920]

"TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe" [2008-01-29 17:00 430080]

"ehTray.exe"="C:\Windows\ehome\ehTray.exe" [2008-01-21 04:25 125952]

"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 11:34 5724184]

"Skype"="C:\Program Files\Skype\Phone\Skype.exe" [2008-04-30 17:17 22058792]

"AdobeUpdater"="C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe" [2007-03-01 10:37 2321600]

"WMPNSCFG"="C:\Program Files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 04:25 202240]

"s9201"="C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe" [2008-07-23 08:10 1253888]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_04\bin\jusched.exe" [2007-12-14 03:42 144784]

"IgfxTray"="C:\Windows\system32\igfxtray.exe" [2008-02-05 12:24 141848]

"HotKeysCmds"="C:\Windows\system32\hkcmd.exe" [2008-02-05 12:24 154136]

"Persistence"="C:\Windows\system32\igfxpers.exe" [2008-02-05 12:24 129560]

"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2007-12-06 19:12 1029416]

"topi"="C:\Program Files\TOSHIBA\Toshiba Online Product Information\topi.exe" [2007-07-10 10:24 581632]

"Picasa Media Detector"="C:\Program Files\Picasa2\PicasaMediaDetector.exe" [2006-12-06 03:44 366400]

"Google Desktop Search"="C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" [2008-02-25 13:04 1836544]

"Desktop SMS"="C:\Program Files\IDM\Desktop SMS\DesktopSMS.exe" [2007-06-18 11:51 1507328]

"Camera Assistant Software"="C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe" [2007-10-25 17:41 413696]

"Toshiba Registration"="C:\Program Files\Toshiba\Registration\ToshibaRegistration.exe" [2007-05-04 12:05 571024]

"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]

"hpqSRMon"="C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe" [2007-08-22 16:31 80896]

"avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 14:28 266497]

"RtHDVCpl"="RtHDVCpl.exe" [2008-01-29 19:51 4911104 C:\Windows\RtHDVCpl.exe]

C:\Users\dominique\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

OpenOffice.org 2.4.lnk - C:\Program Files\OpenOffice.org 2.4\program\quickstart.exe [2008-01-21 15:41:28 393216]

TRDCReminder.lnk - C:\Program Files\TOSHIBA\TRDCReminder\TRDCReminder.exe [2007-07-27 11:30:22 389120]

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\Startup\

HP Digital Imaging Monitor.lnk - C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe [2007-10-14 20:38:52 214360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"msacm.dvacm"= C:\PROGRA~1\COMMON~1\ULEADS~1\vio\dvacm.acm

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]

"{4FF5C61D-D5BA-44BE-B0DF-10DA85B50624}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)

"{A389BAB2-85AD-4720-B48D-83B0B7D9BFD6}"= C:\Program Files\Skype\Phone\Skype.exe:Skype

"{FC326BB7-33B5-4C84-9CF6-6C3931DA7EFD}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe:hpqtra08.exe

"{C2037887-61B3-485A-97D9-0AB49BB0DC56}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe:hpqtra08.exe

"{E0155762-10C3-4E52-9229-8DCD130D0E80}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe:hpqste08.exe

"{46D0C707-4085-4BAA-87E3-F1E9230C7561}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe:hpqste08.exe

"{1281E6D8-D04D-41F4-B77D-E2948AD99939}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe:hpofxm08.exe

"{9B4BB7F9-AAEB-4E69-A9ED-C773739E66D6}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe:hpofxm08.exe

"{343D100B-9BDF-434D-8A35-7794670DCD35}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe:hposfx08.exe

"{064EB433-E008-4D3B-B726-4B3FFDF2D9D0}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe:hposfx08.exe

"{BFC17D5C-C91E-4F43-BFAA-8180E497F56D}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hposid01.exe:hposid01.exe

"{1A88ED0F-B357-459B-AC4A-84BA16C3A0DB}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hposid01.exe:hposid01.exe

"{15849DB1-47B8-40BB-BC74-CAA0BF049BCD}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe:hpzwiz01.exe

"{E3A60911-BA8B-4C90-B383-CBF3E2DEFD47}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe:hpzwiz01.exe

"{CD46AB96-1D19-4D8F-ADA2-ECF4AE284F96}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe:hpoews01.exe

"{451247ED-BB2E-4521-8BD9-449656CE12EE}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe:hpoews01.exe

"{1148C1A1-3261-4995-A398-28BF3B0AE0FB}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpiscnapp.exe:hpiscnapp.exe

"{3E426E1A-EA25-4D25-8705-4D79788D6D81}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpiscnapp.exe:hpiscnapp.exe

"{355B613D-EC7B-4D50-966D-FCDBF4125EED}"= Disabled:UDP:C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe:hpqkygrp.exe

"{63FDD8A6-FE29-423E-BA62-76AD6A841C2A}"= Disabled:TCP:C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe:hpqkygrp.exe

R2 ConfigFree Service;ConfigFree Service;C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe [2007-12-25 14:07]

R2 TOSHIBA SMART Log Service;TOSHIBA SMART Log Service;c:\Program Files\TOSHIBA\SMARTLogService\TosIPCSrv.exe [2007-12-03 17:03]

R3 FwLnk;FwLnk Driver;C:\Windows\system32\DRIVERS\FwLnk.sys [2006-11-20 15:11]

R3 RTL8187B;Adaptateur réseau USB 2.0 54Mbps, 802.11b/g sans fil Realtek RTL8187B;C:\Windows\system32\DRIVERS\RTL8187B.sys [2007-12-26 11:20]

S4 ErrDev;Microsoft Hardware Error Device Driver;C:\Windows\system32\drivers\errdev.sys [2008-01-21 04:23]

S4 MegaSR;MegaSR;C:\Windows\system32\drivers\megasr.sys [2008-01-21 04:23]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12

hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc

*Newly Created Service* - PROCEXP90

.

------- Supplementary Scan -------

.

R0 -: HKCU-Main,Start Page = hxxp://www.google.fr/

O8 -: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 -: {76577871-04EC-495E-A12B-91F7C3600AFA} - http://rover.ebay.com/rover/1/709-44555-9400-3/4

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-07-23 23:10:37

Windows 6.0.6001 Service Pack 1 NTFS

Balayage processus cachés ...

Balayage caché autostart entries ...

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

TOSCDSPD = C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe?/i????????)?a??X???????????????

Balayage des fichiers cachés ...

C:\Users\DOMINI~1\AppData\Local\Temp\~DFF84B.tmp 32768 bytes

C:\Users\DOMINI~1\AppData\Local\Temp\~DFF867.tmp 512 bytes

Scan terminé avec succès

Les fichiers cachés: 2

**************************************************************************

.

--------------------- DLLs a chargé sous des processus courants ---------------------

PROCESS: C:\Windows\Explorer.exe

-> C:\Program Files\IDM\Desktop SMS\oehook.dll

.

Temps d'accomplissement: 2008-07-23 23:11:44

ComboFix-quarantined-files.txt 2008-07-23 21:11:37

ComboFix2.txt 2008-07-23 21:02:26

Pre-Run: 34,928,066,560 octets libres

Post-Run: 34,794,708,992 octets libres

185 --- E O F --- 2008-07-18 15:00:21

Modifié le 25 juillet 2008 par Freeboy

Apollo · le 23 juillet 2008

Bonsoir,

Fais attention avec ComboFix, ce n'est pas un outil à utiliser à la légère car il est très puissant; tu ne dois utiliser cet outil qu'à la demande d'un conseiller en sécurité confirmé!

Ton infection sera éradiquée de la sorte:

Télécharge Malwarebytes' Anti-Malware (MBAM)

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen rapide"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

avec un nouveau log Hijackthis.

@ + tard.

Freeboy · le 24 juillet 2008

Bonsoir,

Fais attention avec ComboFix, ce n'est pas un outil à utiliser à la légère car il est très puissant; tu ne dois utiliser cet outil qu'à la demande d'un conseiller en sécurité confirmé!

Ton infection sera éradiquée de la sorte:

Télécharge Malwarebytes' Anti-Malware (MBAM)

Double clique sur le fichier téléchargé pour lancer le processus d'installation.

Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.

Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".

Sélectionne "Exécuter un examen rapide"

Clique sur "Rechercher"

L'analyse démarre, le scan est relativement long, c'est normal.

A la fin de l'analyse, un message s'affiche :

Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.

Ferme tes navigateurs.

Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

avec un nouveau log Hijackthis.

@ + tard.

Merci pour ton aide. J'ai suivi tes instructions et MBAM a trouvé et supprimé 22 fichiers infectés. Je t'envoie les rapports ci-dessous

rapport MBAM

Malwarebytes' Anti-Malware 1.23

Version de la base de données: 985

Windows 6.0.6001 Service Pack 1

07:15:05 24/07/2008

mbam-log-7-24-2008 (07-15-05).txt

Type de recherche: Examen rapide

Eléments examinés: 35393

Temps écoulé: 2 minute(s), 5 second(s)

Processus mémoire infecté(s): 1

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 1

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 6

Fichier(s) infecté(s): 22

Processus mémoire infecté(s):

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe (Rogue.Installer) -> Unloaded process successfully.

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\SecuriSoft SARL (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\s9201 (Rogue.Installer) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

C:\ProgramData\SecuriSoft SARL (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\BASE (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\DELETED (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\SAVED (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe (Rogue.Installer) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723195922965.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723081153820.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723082959963.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723083647061.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723084527357.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723091805586.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723111958167.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723115636447.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723133252696.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723145415137.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723161801928.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723165205334.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723174301206.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723174929311.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723185649251.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723194005442.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723200957868.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723220539390.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723222316349.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080723230610747.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

C:\ProgramData\SecuriSoft SARL\WinSpywareProtect\LOG\20080724070909038.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.

rapport hijackthis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 07:17:10, on 24/07/2008

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Java\jre1.6.0_04\bin\jusched.exe

C:\Windows\System32\igfxtray.exe

C:\Windows\System32\hkcmd.exe

C:\Windows\System32\igfxpers.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\TOSHIBA\Toshiba Online Product Information\TOPI.exe

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

C:\Program Files\IDM\Desktop SMS\DesktopSMS.exe

C:\Program Files\Camera Assistant Software for Toshiba\traybar.exe

C:\Program Files\TOSHIBA\Power Saver\TPwrMain.exe

C:\Program Files\TOSHIBA\SmoothView\SmoothView.exe

C:\Program Files\TOSHIBA\FlashCards\TCrdMain.exe

C:\Program Files\TOSHIBA\Registration\ToshibaRegistration.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Windows\system32\igfxsrvc.exe

C:\Program Files\OpenOffice.org 2.4\program\soffice.exe

C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Camera Assistant Software for Toshiba\CEC_MAIN.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgpc01.exe

C:\Windows\system32\wuauclt.exe